CVE-2026-62290

Nome do Software Vulnerável e Versões Afetadas cert-manager versões 1.18.0 até 1.19.5 cert-manager versões 1.20.0 até 1.20.2

Descrição Usuários de namespace podem criar recursos de Challenge sob acme.cert-manager.io sem a validação de admissão que vincula o Challenge a um Order, referência de proprietário ou solver selecionado pelo Issuer. Isso permite que um invasor controle os valores de Challenge.spec.solver referenciando um ClusterIssuer para ignorar seletores de solver DNS01, como dnsZones, dnsNames e matchLabels. Consequentemente, o cert-manager pode usar credenciais de DNS do ClusterIssuer para configurações de provedor e nomes de DNS selecionados pelo invasor, o que pode levar à divulgação dos cabeçalhos X-Api-User e X-Api-Key para acme-dns.

Recomendações Atualize para a versão 1.19.6. Atualize para a versão 1.20.3.